/etc/securetty のエントリの効果

Question 1

/etc/securettyモジュールはこれを参照して、pam_securettyどの仮想端末 ( tty*)rootからのログインが許可されるかを決定します。

以前は、/etc/securettyのようなプログラムによってlogin直接参照されていましたが、現在は PAM がそれを処理します。したがって、への変更は、/etc/securettyを使用する構成ファイルで PAM を使用するすべてのものに影響しますpam_securetty.so。したがって、loginデフォルトではプログラムのみが影響を受けます。

/etc/pam.d/loginローカルログインには使用され、/etc/pam.d/remoteリモートログイン (telnet など) には使用されます。

主なエントリタイプとその影響は次のとおりです。

/etc/securetty存在しない場合は、rootどこからでもログインできますtty
/etc/securettyが存在し、空の場合、アクセスはシングルユーザーrootモードまたはによって制限されていないプログラムに制限されますpam_securetty（つまりsu、、、、、）sudosshscpsftp
devfs( を処理するための非推奨のファイルシステム)を使用している場合/dev、という形式のエントリを追加すると、vc/[0-9]*指定された仮想コンソール番号からの root ログインが許可されます。
udev（動的デバイス管理およびの置き換え用）を使用している場合devfs、形式のエントリを追加すると、tty[0-9]*指定された仮想コンソール番号からの root ログインが許可されます。
consoleのリストは/etc/securetty通常は効果がありません。/dev/console現在のコンソールを指し、通常はttyシングルユーザーモードでファイル名としてのみ使用され、/etc/securetty
のようなエントリを追加すると、割り当てられたものがリストされているものの1つであると仮定して、pts/[0-9]*疑似端末（pty）を使用するプログラムがpam_securettyログインできるようになります。通常は良い考えです。rootptyないこれらのエントリを含めることはセキュリティ上のリスクであるため、含めないでください。たとえば、パスワードをプレーンテキストで送信する telnet 経由で誰かが root にログインできるようになります (これはRHEL 5.5 で使用されるpts/[0-9]*形式であることに注意してください。または他の形式のデバイス管理udevを使用する場合は異なりますdevfs)。

シングルユーザーモードでは、の代わりに/etc/securettyが使用されるため、は参照されません(詳細については、マニュアルページを参照してください)。また、各ランレベルで使用されるログインプログラムを変更することもできます。suloginloginsulogin/etc/inittab

経由でログインを/etc/securetty制御するためにを使用すべきではないことに注意してください。そのためには、のの値を変更します。デフォルトでは、は(したがって)を参照するように設定されていません。これを行う行を追加することもできますが、ステージの後になるまで実際のが設定されないため、期待どおりには機能しません。およびステージ中、少なくともでは、( ) はにハードコードされています。rootsshPermitRootLogin/etc/ssh/sshd_config/etc/pam.d/sshdpam_securetty/etc/securettysshttyauthauthaccountopensshttyPAM_TTYssh

上記の回答は RHEL 5.5 に基づいています。その多くは他の *nix システムの現在のディストリビューションに関係しますが、違いもあります。そのうちのいくつかは私が指摘しましたが、すべてではありません。

他の回答が不完全または不正確だったため、私は自分で回答しました。オンライン上の他の多くのフォーラム、ブログなどにも、このトピックに関する不正確または不完全な情報が掲載されているため、正確な詳細を得るために広範囲にわたる調査とテストを行いました。ただし、私が述べた内容に誤りがある場合は、お知らせください。

出典:

Answer